Закључавање налога наспрам забране адресе: где OpenVPN заиста броји

Блокирање адресе и закључавање налога су два различита механизма и падају у супротним смеровима. Забрана адресе зауставља један извор, а циљни налог остаје доступан са другог места; закључавање налога зауставља тај идентитет свуда, чак и на преносном рачунару самог корисника.

За VPN који проверу идентитета препушта PAM-у, бројач је оно до чега PAM стек стигне, а не оно што је сервер забележио.

Два бројача, две различите жртве

Ограничивач брзине гледа извор и пита колико је покушаја недавно дошло са њега. Закључавање гледа идентитет и пита колико је неуспеха налог накупио. Прво штити доступност, друго акредитиве; ниједно не замењује друго.

Зато реченица блокирамо IP после пет неуспеха није одговор на извештај о пуњењу акредитива. Нападач мења изворе, сваки добије мало покушаја, а налог се никада не броји. Обрнуто, закључавање без надзора извора дозвољава нападачу да држи налог закључан неограничено, намерно падајући.

Две мере имају и различите приче опоравка. Забрана адресе истиче по тајмеру о коме нико не мора да мисли; закључавање налога може да захтева администратора, документовано време чекања или самостално поништавање.

Пронађите складиште које већ држи број

Пре него што било шта додате, проверите да ли већ постоји складиште неуспеха. Локални Linux налог, услуга именика и спољни добављач идентитета воде сваки свој број, а PAM модул испред њих ствара други уместо да прошири први.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

Прочитајте услужну датотеку коју VPN заиста наводи и следите њене редове укључивања. У многим дистрибуцијама услуга VPN-а укључује заједничку датотеку, што значи да се број који подешавате примењује и на SSH и на локалне пријаве.

Ако именик већ намеће закључавање, корисно је питање како PAM разговор долази до те одлуке и како га VPN извештава. Локални број поврх тога не постаје имеников бројач, а две политике могу да се не слажу око тога када се налог откључава.

pam_faillock има три места позива, не једно

Модул раздваја три радње које једна копирана линија обично замагли: проверу да ли је налог већ закључан, бележење неуспеха и брисање историје после успеха.

Ту миграција са старијег модула за бројање обично погреши. Копирање реда из радног примера pam_tally2 у стек pam_faillock није преименовање; документовано подешавање је другачије, а позив на погрешном месту може да бележи неуспехе без икакве провере.

faillock --user alice
faillock --user alice --reset

Алат за преглед је најбржи начин да видите да ли је бројач стваран: приказује забележене неуспехе за налог и може да их обрише. Ако контролисани неуспех не промени тај излаз, место позива је погрешно.

Посвећено име услуге није изолација

Сопствена PAM услужна датотека за VPN чини намеравану политику видљивом, али не ограничава учинка. Свако укључивање заједничке датотеке увлачи оно што та датотека ради, укључујући бројаче за цео систем.

Јасно одлучите да ли закључавање покрива само VPN приступ или сваку услугу која потврђује исти налог. Оба одговора су одбрањива; квар је веровати да сте изабрали једно док стек спроводи друго.

Затим узмите у обзир цену. Закључавање може да изазове нападач, а корисник који трпи власник је налога. Праг, време чекања и административни пут опоравка део су политике, а опоравак не сме да зависи од поновног подешавања VPN-а током инцидента.

Прихватите след, а не једно одбијање

Тестирајте означеним идентитетима по одобреном плану и тестирајте ланац, а не један догађај: ваљан налог се потврђује, намерно погрешна лозинка помера бројач, подешено закључавање ступа на снагу, а документовани опоравак враћа приступ.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Понашање при успеху проверите једнако пажљиво као при неуспеху. Ако успешна пријава не брише историју, налог ће се закључати после спорог накупљања обичних грешака. Ако брише све из сваке услуге, бројач је слабији него што политика тврди.

На крају зауставите клијенте без надзора пре него што прогласите победу. Сачуване акредитиве које понављају покушаје у позадини поново стварају неуспехе неколико минута после опоравка и поново закључавају налог. Ограничавање брзине по извору може остати као додатна мера, али није политика налога.